VPN 原理

隧道与加密

VPN 的核心是封装（Encapsulation）：把原始 IP 包作为载荷，套上新的 IP 头和加密层，通过公网传输到对端，再解封装还原。这个过程对应用层完全透明——程序以为自己在和内网服务器直接通信。

主流协议各有侧重：IPSec 工作在网络层，标准化程度高，企业路由器原生支持，但配置复杂；OpenVPN 基于 SSL/TLS，穿越 NAT 和防火墙能力强，配置灵活；WireGuard（2020 年并入 Linux 5.6 内核）代码只有 4000 行，审计容易，握手速度快，逐渐成为新一代首选。[1]

企业 VPN 与消费级 VPN 的区别

企业 VPN 的典型用途是让远程员工安全接入内网资源。员工客户端与公司 VPN 网关建立隧道后，访问 192.168.x.x 的内部服务器流量通过隧道走，其他流量仍走本地网络（分割隧道，Split Tunnel），避免把员工所有流量都经公司处理。

消费级 VPN 服务（如 ExpressVPN、NordVPN）的商业模式是把用户流量汇聚到自己的出口服务器，实现更换出口 IP 和规避地理限制。它们的安全性取决于服务商是否记录日志——技术上是同样的隧道，信任边界完全不同。